CVE-2026-48509: MessagePack para C# com opções padrão inseguras no formatador de entrada do ASP.NET Core
O MessagePack para C# em versões anteriores a 2.5.301, e no intervalo a partir de 3.0.3 até antes de 3.1.7, usa um construtor sem parâmetros do formatador de entrada cujas opções padrão adotam o perfil de dados confiáveis. Isso pode expor aplicações ASP.NET Core MVC a ataques de negação de serviço, como colisões de hash em propriedades de modelo semelhantes a dicionários. A correção está disponível nas versões 2.5.301 e 3.1.7; a NVD atribui pontuação CVSS 3.1 de 9.1, e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O MessagePack para C# é uma biblioteca de serialização MessagePack para .NET. Segundo o registro, seu construtor de formatador de entrada sem parâmetros, usado em corpos de requisição do ASP.NET Core MVC, aplica opções padrão do serializador que favorecem o tratamento de dados confiáveis. A fraqueza é classificada como CWE-1188, inicialização insegura por padrão de um recurso.
Impacto
- A configuração padrão pode permitir condições de negação de serviço, como ataques de colisão de hash contra propriedades de modelo semelhantes a dicionários.
- Corpos de requisição normalmente atravessam uma fronteira de confiança HTTP, o que torna o padrão um risco relevante para serviços expostos à internet.
- O registro informa que o perfil de dados não confiáveis foi concebido para mitigar esses ataques, mas o padrão não o seleciona.
Versões e produtos afetados
- O registro lista versões do MessagePack para C# anteriores a 2.5.301.
- O registro lista versões a partir de 3.0.3 até antes de 3.1.7.
- As fontes consultadas não descrevem versões entre 2.5.301 e 3.0.3.
Status de exploração
O registro não indica que esta CVE esteja no catálogo KEV da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas.
Correção e mitigação
- Atualize para o MessagePack para C# 2.5.301 ou posterior, ou para 3.1.7 ou posterior, conforme a linha de versão em uso.
- Consulte o aviso do fornecedor para os detalhes da mitigação: GitHub Security Advisory GHSA-2f33-pr97-265q.
- Enquanto a atualização não for possível, reduza a exposição da desserialização de corpos de requisição a clientes não confiáveis e revise como os formatadores de entrada estão configurados no seu código.
Orientações de detecção
- Inventarie os projetos que referenciam o MessagePack para C# e registre as versões instaladas.
- Verifique se os endpoints do ASP.NET Core MVC dependem da configuração padrão do formatador de entrada.
- Monitore tamanho de requisições, tempo de processamento e uso de CPU em endpoints que aceitam cargas MessagePack, pois crescimento contínuo de recursos pode indicar tentativas de negação de serviço.
Limitações das informações disponíveis
O registro não descreve a alteração exata de código da correção, as pré-condições completas para exploração nem a justificativa da pontuação além dos vetores listados. O CNA GitHub fornece pontuação CVSS 4.0 de 6.3, enquanto a NVD fornece pontuação CVSS 3.1 de 9.1; o registro não explica a diferença. A exposição de uma aplicação específica depende da sua própria configuração, que não é conhecida pelo registro.
Perguntas frequentes
Qual é a fraqueza central da CVE-2026-48509?
O construtor sem parâmetros do formatador de entrada usa opções padrão do serializador que selecionam o perfil de dados confiáveis, o que o registro descreve como padrão inseguro.
Quais versões estão corrigidas?
Segundo o registro, o problema está corrigido no MessagePack para C# 2.5.301 e 3.1.7. O registro não informa como as versões entre 2.5.301 e 3.0.3 são tratadas.
Esta CVE é conhecida por ser explorada ativamente?
O registro não a lista no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.